withsecurelabs/ticktockEnumera temporizadores de fila de temporizadores do Windows para detectar a ofuscação de suspensão Ekko, auxiliando a forense de memória e a análise de malware na identificação de ameaças evasivas residentes em memória.
Este repositório demonstra um scanner de memória PoC para enumerar timers de fila de timer (timer-queue timers) utilizados na ofuscação de sono (Sleep Obfuscation) Ekko: https://github.com/Cracked5pider/Ekko. Para uma abordagem técnica completa, consulte o artigo do blog aqui: https://labs.withsecure.com/publications/hunting-for-timer-queue-timers.html.
A captura de tela abaixo demonstra os resultados da varredura por timers de fila de timer enquanto o Ekko está em execução:
NB Como um aviso, este PoC foi testado no Windows 10 1607 e no Windows 10 21h2. No entanto, como depende de funcionalidade não documentada, pode quebrar devido a futuros lançamentos do Windows.
Além disso, esta ferramenta requer que os símbolos estejam configurados corretamente e, portanto, você precisará instalar as Ferramentas de Depuração para Windows (WinDbg) como pré-requisito.
